Der zweite Patchtag über 1.000 Schwachstellen in Folge: Microsofts November-Release bringt 1.094 neue CVEs, eine davon wird laut Microsoft bereits aktiv ausgenutzt. Für den Betrieb ist nicht die Gesamtzahl entscheidend, sondern die eigene Liste. Dieser Beitrag sortiert den Stand vom 12. November 2026: Welche Lücken treffen Domain Controller, welche exponierte Server, welche Clients, und in welcher Reihenfolge wird gepatcht?
Team PRAEMON · · 6 Min. Lesezeit
Der November-Patchtag ist der zweite Microsoft-Release in Folge mit über 1.000 gemeldeten Schwachstellen. Die Gesamtzahl ist beachtlich, für den Arbeitsalltag aber fast so nebensächlich wie im Oktober. Entscheidend bleibt, welche dieser Lücken die eigenen Systeme wirklich betreffen und welche zuerst geschlossen gehören. Dieser Beitrag sortiert den Stand vom 12. November 2026.
Die offizielle Release-Note führt für den Release vom 10. November 1.094 neue Microsoft-CVEs. Fachmedien und Analysedienste nennen abweichende Summen, weil republicierte Meldungen älterer Schwachstellen und Drittanbieter-CVEs in Azure-Linux-Paketen je nach Zählweise mitgezählt werden oder nicht. Das CVRF-Dokument des Zyklus, am 12. November von uns geladen und ausgewertet, enthält einschließlich Republicationen 1.439 Einträge, davon 70 mit der Einstufung Critical. Für die Priorisierung zählt ohnehin eine andere Zahl: Genau eine Schwachstelle führt Microsoft als aktiv ausgenutzt, und sie steht damit nach dem KEV-Katalog der CISA ganz oben. Wer den Oktober einordnen will, findet ihn im Beitrag Microsoft-Patchday Oktober 2026, die Monatslage in der Sicherheitslage November.
Ein präpariertes Nachrichtenelement bringt Outlook dazu, eine Verbindung zu einem Angreiferziel aufzubauen, ohne den üblichen Hinweis auf externe Inhalte anzuzeigen. Dabei wird der NTLMv2-Hash des angemeldeten Nutzers preisgegeben, den der Angreifer für eigene Anmeldungen verwenden kann. Die Lücke ist mit CVSS 6,5 nur Moderate eingestuft und wird trotzdem real ausgenutzt. Das ist die Lehre dieses Patchtages: Der Schweregrad allein ist keine Priorisierung, der Ausnutzungsstatus ist sie. Die CISA hat die CVE am 10. November in ihren KEV-Katalog aufgenommen und die Behebungsfrist auf den 24. November 2026 gesetzt. Der Fix erscheint im Sicherheitsupdate für Microsoft 365 Apps und Office LTSC, nicht im kumulativen Windows-Update. Wer nur Windows-Updates ausrollt, bleibt an dieser Stelle offen.
Nach Analyse der Zero Day Initiative kommen in diesem Zyklus rund 30 CVEs ohne Authentifizierung und ohne Nutzerinteraktion aus, gelten also als wurmartig. Eine weitere 9,8 liegt kurioserweise im Windows Xbox Live Networking Service (CVE-2026-112967), in Serverumgebungen kaum relevant.
| Komponente | CVE | CVSS | Note | Wirkung |
|---|---|---|---|---|
| Windows LDAP | CVE-2026-119958 | 9,8 | Critical | RCE, Zero-Klick, vor allem Domain Controller |
| Windows Search | CVE-2026-116928 | 9,8 | Critical | RCE über Exchange-Indexierung, Zero-Klick |
| Active Directory Domain Services | CVE-2026-118146 | 8,8 | Critical | RCE über Netzwerk |
| Microsoft Office | CVE-2026-120003 | 8,8 | Critical | RCE über Dokument, Client und Terminalserver |
| ODBC Driver | CVE-2026-108411 | 8,8 | Important | Heap-Überlauf mit RCE bei Datenbanken aus fremder Quelle |
| Windows Schannel | CVE-2026-119952 | 8,1 | Critical | RCE über den TLS-Stack, trifft HTTPS-Server |
| Windows NAT | CVE-2026-113862 | 8,1 | Critical | RCE auf Systemen mit NAT-Rolle |
| IIS | CVE-2026-119961 | 8,1 | Critical | RCE auf Webservern |
| CredSSP | CVE-2026-119962 | 8,1 | Critical | RCE, relevant für RDP- und Remotewege |
| RPC Runtime | CVE-2026-118737 | 8,1 | Critical | RCE über Netzwerk |
| Windows Deployment Services | CVE-2026-119951 | 8,1 | Critical | RCE auf Bereitstellungsservern |
| Windows TCP/IP | CVE-2026-113859 | 7,5 | Critical | RCE über Netzwerk-Stack |
| SMB Server (srvnet.sys) | CVE-2026-113825 | 7,5 | Critical | RCE auf Datei- und Groupware-Servern |
Dazu kommt ein Block von zehn RCE-Lücken rund um den Windows DNS Server bzw. Windows Domain Name Service, von CVSS 7,5 bis 9,8 (darunter CVE-2026-88218, CVE-2026-109463 und CVE-2026-96020). Ein Domain Controller ist in der Praxis fast immer zugleich DNS-Server, versammelt also mehrere Risikoblöcke auf einem Rechner. Die fünf RCEs in Windows Message Queuing (CVE-2026-119964, CVE-2026-119963, CVE-2026-116710, CVE-2026-119967, CVE-2026-109459, jeweils CVSS 8,1) zählen nur dort, wo MSMQ installiert ist. Ob das der Fall ist, beantwortet das Inventar, nicht die Vermutung.
Ein Hinweis zur Einordnung, der in keiner Kundeninformation fehlen sollte: Nicht jede einzelne dieser Schwachstellen trifft jedes Windows-System. Zutreffend ist die Formulierung, dass zahlreiche unterstützte Windows-Versionen und -Komponenten betroffen sind. Was davon in welcher Kombination auf den eigenen Systemen liegt, entscheidet der Abgleich.
LDAP, Active Directory, DNS, RPC, Schannel und SMB: Ein Domain Controller vereint diesmal gleich mehrere der Komponenten mit hoher Priorität. Domain Controller und alle WAN-exponierten Windows-Systeme (IIS, RDS, VPN, NAT) gehören deshalb in die erste Welle des Wartungsfensters. Segmentierte Kundenserver mit eng begrenzten offenen Ports folgen in der zweiten.
Die einzige aktiv ausgenutzte Lücke dieses Zyklus sitzt auf dem Client, nicht auf dem Server. Das Outlook-Update ist vom kumulativen Windows-Update getrennt, der Rollout braucht also zwei Pfade. Terminalserver mit gemeinsam genutztem Outlook sind davon doppelt betroffen.
PRAEMON gleicht die offiziellen Herstellermeldungen mit Build- und Paketstand jedes Systems ab, zieht den KEV-Katalog für die Reihenfolge heran und zeigt nach dem Wartungsfenster, welche Updates installiert sind und wo noch etwas offensteht, mit Beleg. Automatisch abwehren tut das Portal nicht; es unterstützt bis zum Nachweis. Der Weg dorthin führt über die Sicherheitsseiten von PRAEMON.
Redaktioneller Stand: 12. November 2026. Zahlen gemäß Security Update Guide; Presse-Zählungen weichen wegen unterschiedlicher Zählmethodik ab.
Der Schaden eines Erpressungsfalls entscheidet sich an sechs Vorentscheidungen, nicht an der Frage der Zahlung: Rollen, Meldeketten, Wiederanlauf, RPO, Testumgebung, Nachweise.
Eine Webshell ist Hintertür und Beweisstück in einem. Dieser Ratgeber sortiert die ersten zwei Stunden: sichern, vergleichen, Ausbreitung prüfen, Zugänge rotieren, Sauberkeit belegen.
PRAEMON erkennt Auffälligkeiten im Windows-Ereignisprotokoll, bündelt sie zum Vorfall mit Zeitachse, Fristen und Meldetext. Melden bleiben Sie selbst.
Datenschutz bei PRAEMONMit Ihrer Zustimmung zählen wir Seitenaufrufe mit Matomo, das wir selbst in Deutschland betreiben. So sehen wir, welche Inhalte weiterhelfen. Ihre Auswahl können Sie jederzeit unten auf jeder Seite ändern.
